Espanjan kyberturvallisuus petti 19-vuotiaan edessä – tutkinta laajeni poliittisiin yhteyksiin

Teini-ikäinen hakkeri murtautui Espanjan virastojen tietojärjestelmiin ja rakensi rikollisen tiedusteluverkoston.

Espanjalaisviranomaiset pidättivät 28. toukokuuta José Luis Huertasin, joka tunnetaan nimellä ”Alcasec”, osana kyberrikollisuutta tutkivaa Borraska-operaatiota. Vain 19-vuotias Huertas on epäiltynä murtautumisesta muun muassa liikennevirasto DGT:n, kilpailuviranomaisen CNMC:n, väestörekisterin ja valtion satamien tietojärjestelmiin.

Tutkintaa johtaa kansallisen oikeusistuimen tuomari María Tardón, ja rikosepäilyt liittyvät tietomurtoihin, tietovarkauksiin, rahanpesuun ja järjestäytyneeseen rikollisuuteen. Erityistä huomiota on herättänyt se, että Huertasin kanssa pidätettiin myös Francisco Martínez, entinen sisäministeriön valtiosihteeri Mariano Rajoyn hallituksen ajalta.

Yhteydet virkamieheen

Oikeuden asiakirjojen mukaan Martínez auttoi Huertasia perustamaan valeyrityksiä, joiden kautta varastettuja tietoja kaupallistettiin. Epäillyt käyttivät Sveitsissä sijaitsevaa palvelinta, jonka avulla tietoja tallennettiin ja jaeltiin anonyymisti. Maksut hoidettiin kryptovaluutalla, ja järjestelmä mahdollisti henkilöiden tietojen yhdistämisen useista eri lähteistä – kuten henkilötunnuksista, osoitteista ja puhelinnumeroista.

Järjestelmää hallinnoitiin useista sijainneista Espanjassa, mukaan lukien Huertasin kodista ja hänen perustamansa yrityksen toimistosta. Tietoja myytiin Telegram-sovelluksen kautta toimivan botin avulla, joka mahdollisti reaaliaikaiset ja jäljittämättömät haut pimeillä markkinoilla.

Mitä tietoja varastettiin?

Murto kohdistui useisiin valtiollisiin ja yksityisiin järjestelmiin. Tietojen joukossa oli muun muassa:

• DGT: ajoneuvorekisterit ja ajohistoriat
• CNMC: matkapuhelinoperaattoreiden asiakastiedot
• Väestörekisteri: syntymä- ja avioliittotiedot sekä kansalaisuusdata

Lisäksi viranomaiset ovat löytäneet varastettuja tietoja energiayhtiöistä, logistiikkayrityksistä ja kansainvälisistä rekistereistä. Kokonaisuudessaan kyseessä oli laajamittainen tiedustelujärjestelmä, joka hyödynsi varastettuja henkilötietoja mahdolliseen rikolliseen toimintaan.

Poliittinen ulottuvuus lisää painetta

Francisco Martínezin rooli verkostossa on herättänyt suurta huomiota, sillä hänen epäillään tarjonneen oikeudellista ja institutionaalista suojaa toiminnalle. Martínez puolustautui väittämällä yrittäneensä auttaa vaikeuksiin ajautunutta nuorukaista, mutta tuomioistuin ei pitänyt selitystä uskottavana. Puhelutiedot osoittavat yhteensä 21 kontaktia hakkerin järjestelmiin.

Martínez on entuudestaan syytettynä toisessa oikeustapauksessa, Operación Kitchenissa, jossa hänen epäillään osallistuneen Partido Popularin entisen taloudenhoitajan Luis Bárcenasin vakoiluun.

Miksi tapaus on merkittävä?

Yli puolen miljoonan kansalaisen tietojen joutuminen vääriin käsiin paljastaa Espanjan digitaalisessa turvallisuudessa vakavia puutteita. Viranomaisten mukaan Alcasecin johtama verkosto oli rakenteeltaan modulaarinen ja kehittyi nopeasti – muistuttaen enemmän startup-yritystä kuin perinteistä rikollisorganisaatiota.

Tapauksessa ei ole kyse pelkästä järjestelmien murtamisesta, vaan laajemmin siitä, kuinka hyvin yhteiskunnan tietojärjestelmät kestävät koetusta. Tiedot viittaavat siihen, että verkosto saattoi toimia huomattavasti laajemmin kuin mitä alkuperäiset epäilyt antoivat ymmärtää.

Kuka on Alcasec?

José Luis Huertas tuli tunnetuksi jo vuonna 2022 murtauduttuaan oikeuslaitoksen tietoverkkoon, Punto Neutro Judicialiin, jota käytetään laajasti julkishallinnon tietoliikenteessä. Tuosta tapauksesta hänelle vaaditaan kolmen vuoden vankeusrangaistusta. Nyt Borraska-operaatiossa esiin tulleet syytteet ovat huomattavasti vakavampia.

Huertas on tällä hetkellä tutkintavankeudessa, ja hänen toimintansa on nostanut esiin vakavan kysymyksen Espanjan kyberturvallisuuden tilasta. Yksi nuori hakkeri, pienellä sisäpiirillä, on onnistunut horjuttamaan useiden keskeisten instituutioiden tietoturvaa.

Lähde: Euro Weekly News